趨勢科技 TrendLabs 研究報告 - 資安趨勢部落格

當國際性研討會走進家庭辦公室-遠距工作環境可能遭到攻擊的資安漏洞

2022 年 01 月 05 日2022 年 01 月 03 日趨勢科技 TrendMicro

家庭辦公室內各種缺乏資安防護的裝置，在網路犯罪集團的眼裡，可說是唾手可得的目標。這些裝置很可能被駭客入侵之後用來從事犯罪活動，或者當成進一步入侵家庭網路的跳板。

隨著新的技術不斷導入、舊的裝置不斷升級，現代化家庭的生活及工作空間每一年都變得越來越聰明。許多專業人士也因此開始在家工作或者在家透過虛擬方式經營生意。就連國際性的研討會都能從家庭辦公室環境內舉行，大型的專案也能透過線上方式在家管理和指揮，在智慧裝置的協助下，甚至能做到的還更多。只可惜，缺乏資安防護的裝置，在網路犯罪集團的眼裡，可說是唾手可得的目標，可用於從事犯罪活動，或者當成進一步入侵家庭網路的跳板。

駭客之所以這麼努力攻擊智慧家庭裝置，原因在於這類裝置的數量越來越多，而且越來越強大、越來越有價值。正因如此，駭客的攻擊手法會不斷隨著科技進步而演進。今年 11 月在美國德州奧斯汀 (Austin) 舉辦的 Pwn2Own 2021 駭客大賽 (這是一個專門發掘關鍵漏洞好讓廠商能夠加以修補的競賽) 特別突顯出有關家用使用者與遠距工作者的裝置安全問題。一些原本讓企業 IT 人員從家中執行遠端管理的裝置，同樣也能用來存取企業的私密資訊，甚至讓犯罪集團用於攻擊行動。

影響家庭工作者與智慧家庭使用者的網路資安威脅

針對家用與工作裝置的威脅

繼續閱讀

Docker Hub 帳號遭 TeamTNT 集團入侵並用於挖礦

2021 年 12 月 20 日2021 年 12 月 16 日趨勢科技 TrendMicro

趨勢科技的威脅研究團隊隨時都在密切監控一些經常遭到攻擊的漏洞和組態設定錯誤。其中一個經常遭到攻擊的組態設定錯誤就是暴露在外的 Docker REST API。

2021 年 10 月，我們發現有駭客專門攻擊一些因組態設定不當而暴露在外的 Docker REST API，並啟動一些容器映像來執行惡意腳本，這些腳本會執行以下動作：

下載或內嵌門羅幣 (Monero) 挖礦程式。
利用一些已知的技巧從容器逃逸至主機。
執行網際網路掃描，試圖尋找已遭入侵的容器所暴露的連接埠。

繼續閱讀

TeamTNT 持續攻擊雲端，瞄準 AWS 執行個體

2021 年 12 月 14 日2021 年 12 月 13 日趨勢科技 TrendMicro

TeamTNT 駭客集團經常竊取 Amazon Web Services (AWS)、Docker 與 Linux Secure Shell (SSH) 的登入憑證，此外也從事其它惡意活動，包括在 Linux 裝置上挖礦或植入後門程式 (如 IRC 殭屍程式與遠端指令列腳本)。不過，該集團的攻擊範圍當時仍是個謎。趨勢科技在分析該集團的活動時發現了一個二進位檔案內含一段寫死的指令列腳本 (shell script) 專門用來竊取 AWS 登入憑證，進而掌握了該集團的攻擊範圍。

Figure 1: IRC bot dropping encoded shell script (detected as Backdoor.Linux.TSUNAMI.USELVBF21) — 圖 1：IRC 殭屍程式在系統植入預先寫死的一段指令列腳本 (趨勢科技命名為：Backdoor.Linux.TSUNAMI.USELVBF21)。

繼續閱讀

《Project 2030 原創影集》Ctrl+Alt+真相。歡迎來到未來的網路犯罪世界

2021 年 12 月 08 日2022 年 05 月 24 日趨勢科技 TrendMicro

歡迎來到 2030 年，來到 New San Joban 這個光靠鍵盤就能改變現實的未來城市。看看一個全面匯流的數位化世界如何影響網路資安的未來，以及你該如何隨時領先駭客一步。

作者：趨勢科技全球安全研究副總裁Rik Ferguson

我們根據 Trend Micro Research 的研究報告《Project 2030 –: Scenarios for the future of cybercrime (2030 專案 – 網路資安未來情境)》為基礎，拍攝了《Project 2030》這個原創影集。

繼續閱讀

分析惡意程式所用的 SSL/TLS 憑證

2021 年 11 月 24 日2021 年 11 月 04 日趨勢科技 TrendMicro

近年來，惡意程式越來越常使用加密來隱藏其網路流量。其實這也很正常，因為一般正常的網路流量也越來越常採用加密連線。Google 在其透明度報告 (Transparency Report) 中指出，目前經由 Google Chrome 瀏覽器所產生的網路流量，絕大部分都經由 HTTPS 加密連線。本文詳細分析惡意程式所使用的 SSL/TLS 憑證。

過去六年以來，我們看到一般惡意程式與目標式攻擊惡意程式大量運用了加密連線。這不僅是為了躲避偵測，更是為了融入一般正常的加密流量。除了惡意程式之外，一些駭客工具平台，如：Cobalt Strike、Metasploit 及 Core Impact 也都使用加密流量。許多案例甚至採用了 SSL/TLS 所使用的 X.509 憑證。

趨勢科技在一篇技術摘要「惡意程式幕後操縱 (C&C) 通訊採用 SSL/TLS 憑證的現況」(The State of SSL/TLS Certificate Usage in Malware C&C Communications) 當中詳細分析了各種惡意程式家族所用的憑證。我們指出了這些憑證的一些特性以及我們觀察到的現象，還有如何迅速偵測這些憑證的技巧。要想盡可能及早攔截惡意程式，最重要的關鍵就是在憑證層次偵測惡意程式的 C&C 通訊流量，尤其是在無法透過代理器 (Proxy) 來進行解密的情況下。

繼續閱讀